GRU: poznaj tajemnice Jednostki 29155 i jej operacji hakerskich
Po przeanalizowaniu połączeń telefonicznych, lotów i korespondencji hakerów, Insider zidentyfikował kilkudziesięciu członków grupy, wśród których znaleźli się skazani hakerzy, świeżo upieczeni absolwenci uczelni oraz weterani operacji GRU związanych z otruciami i dywersjami, nieposiadający żadnego doświadczenia w branży IT. Większość operacji hakerskich i dywersyjnych Jednostki 29155 zakończyła się niepowodzeniem, co nie jest zaskakujące, biorąc pod uwagę fakt, że kierownicy działu hakerskiego publicznie mówili o swojej niskiej motywacji, wykorzystywali swoją pracę do spotkań z kochankami i prostytutkami, oraz “rozdzielali” między siebie środki przeznaczone na działania dywersyjne na Ukrainie.
We wrześniu 2024 r. FBI opublikowało akt oskarżenia przeciwko grupie hakerów pracujących dla oddziału GRU 29155 – tej samej jednostki wojskowej, która zasłynęła otruciem Skripala w Salisbury. To, że w GRU działają oddziały hakerów, było wiadome od dawna. Jako pierwszy udowodnił to Insider już w 2017 r., a wtedy mowa była o jednostce wojskowej 26165, znanej jako Fancy Bear lub APT28, która zasłynęła włamaniem do kont emailowych Hillary Clinton, Emmanuela Macrona i różnych organizacji międzynarodowych.
Później okazało się, że pod przykrywką GRU działa również inna grupa, znana jako Sandworm (Jednostka 74455), która stworzyła najbardziej niszczycielskiego wirusa NotPetya, wyłączyła elektrownie w Ukrainie i zaatakowała obiekty wojskowe NATO. Jednak fakt, że jednostka 29155, zajmująca się zabójstwami i sabotażem, ma swoich hakerów, brzmiał dziwnie i zaskakująco.
Insiderowi udało się uzyskać dostęp do pamięci podręcznej dziennika serwera tej grupy hakerów, który okazał się niezabezpieczony. Porównując te informacje z upublicznionymi wcześniej danymi z mediów społecznościowych i baz danych, a także rozmawiając z kilkoma źródłami, Insider odtworzył obraz działalności tej grupy we wszystkich szczegółach.
Oszuści-oszuści i czeczeński naszyjnik z FSB
Pomysł utworzenia grupy hakerów przy Jednostce 29155 pojawił się jeszcze za czasów poprzedniego dyrektora GRU Igora Sierguna około 10 lat temu. Wśród osób, którym dowódca Jednostki 29155 Andriej Awierianow powierzył realizację tego projektu, byli jego doświadczeni podwładni Roman Puntus i Jurij Denisow, którzy nie mieli żadnej specjalistycznej wiedzy komputerowej, ale byli sprawdzeni w różnych operacjach specjalnych GRU w Europie, oraz nowy członek oddziału Tim Stigal, etniczny Czeczen z interesującą biografią.
Stigal był blogerem mieszkającym w Dagestanie i do tego czasu zdążył opublikować książkę o handlu na rynku Forex zgodnie z zasadami islamu, równolegle pisząc romantyczną poezję. W 2011 r. w komentarzach do tweeta ówczesnego prezydenta Rosji Dmitrija Miedwiediewa skarżył się na haracze w wysokości 300 tys. dol., które rzekomo pobiera otoczenie czołowego wówczas kremlowskiego doradcy Władimira Surkowa za zorganizowanie spotkania z nim. Stigal poprosił Miedwiediewa, by “wziął go do swojego zespołu”, ponieważ jest “pełen pomysłów”. Wkrótce po tym apelu Stigal napisał: “Właśnie dzwonił Władysław Juriewicz [Surkow]. Jestem zadowolony z rozmowy. Umówiliśmy się na spotkanie po wyborach”.
Tim Stigal (w środku) na manifestacji putinowskiego ruchu Nasi w Moskwie w 2011 r.
W następnym roku Stigal założył dagestański oddział proputinowskiego ruchu Nasi i zorganizował demonstrację lobbując za zmianę nazwy centralnego placu w stolicy Dagestanu na plac Putina. W tym czasie Stigal ściśle współpracował już z Departamentem Kontrwywiadu Wojskowego Federalnej Służby Bezpieczeństwa (FSB) i najpóźniej w 2014 r. trafił do zespołu Awierianowa. Być może to właśnie kontrwywiad wojskowy FSB oddelegował go do Jednostki 29155 wywiadu GRU: część czynnych pracowników GRU pracuje równolegle w wojskowym kontrwywiadzie FSB, dzięki czemu czekistom łatwiej jest mieć oko na ministerstwo obrony. Tak czy inaczej, w 2014 r. Stigal otrzymuje paszport na nazwisko Daniła Magomiedowa z tego samego zakresu numerów, co paszporty trucicieli Skripala “Pietrowa” i “Boszirowa”.
Nic dziwnego, że Awierianow skierował Stigala właśnie do działu hakerskiego: FSB jako całość, a kontrwywiad wojskowy FSB w szczególności, miały bardzo dobre kontakty z hakerami-oszustami zajmującymi się kradzieżą danych z kart kredytowych i innymi rodzajami cyberprzestępczości finansowej.
Stigalowi udało się pozyskać do współpracy m.in. Aleksieja Stroganowa, pseudonim “Flint”, Jewgienija Baszewa i Igora Woroszyłowa. Stroganow w 2006 r. był już pociągnięty do odpowiedzialności karnej za oszustwa kart bankowych i został skazany na 6 lat, ale wyszedł już po 2 latach – prawdopodobnie właśnie dzięki protekcji FSB, z którą później ściśle współpracował. Kiedy w 2021 r. zostanie ponownie aresztowany, sam oświadczy w sądzie, że pracuje dla służb specjalnych, a nawet przedstawi dyplom podpisany przez dyrektora FSB. I rzeczywiście, po zwolnieniu w 2008 r. Aleksiej Stroganow stał się ważnym “ekspertem w dziedzinie cyberbezpieczeństwa”, chronił banki i systemy płatnicze przed atakami hakerów, nakręcono o nim kilka filmów i napisano książkę, a gubernator St. Petersburga z dumą fotografował się z Flintem.
Gubernator St. Petersburga wręcza dyplom za współpracę hakerowi Aleksiejowi Stroganowowi
Wszystko to nie przeszkodziło Flintowi pod czujnym okiem FSB w kontynuowaniu oszukańczej działalności. Według departamentu śledczego MSW, grupa Flinta działała od 2014 r. do marca 2020 r. kradnąc dane kart bankowych nie tylko w Rosji, ale także w Unii Europejskiej i Stanach Zjednoczonych.
Właśnie za kierowanie tą grupą oszustów Stigal znalazł się w akcie oskarżenia rządu USA, ale o tym, że równolegle pracuje on również dla Jednostki 29155, amerykańskie organy ścigania najwyraźniej nie wiedziały aż do teraz.
Prowokacje przeciwko Polsce, USA i WADA
Ciekawe, że pomimo wszystkich bliskich powiązań z hakerami, większość operacji, które Stigal organizował w interesie GRU, miała charakter nie tyle hakerski, ile prowokacyjny.
Na przykład jedna z operacji miała na celu zdyskredytowanie serwis śledczy Bellingcat: Stigal zarejestrował należące do hakerów konto na Twitterze pod nazwą Anonymous Poland, rzekomo powiązane z Bellingcatem. Za pośrednictwem tego konta zespół Stigala ujawnił skradzione dane kart kredytowych, przypisując ten wyciek “hakerom” Bellingcata (chociaż Bellingcat nigdy nie miał żadnych hakerów). Ponadto hakerzy Stigala ujawnili nazwiska i zdjęcia dzieci ukraińskich żołnierzy, którzy wówczas służyli na froncie na Donbasie, ponownie przypisując włamanie Bellingcatowi (Bellingcat wielokrotnie ostrzegał Twitter o tej działalności, ale platforma uznała, że nie narusza to jej zasad).
Wreszcie hakerzy JEdnsotki 29155 sporządzili listę celów związanych z prawdziwym Bellingcatem, dzieląc je na “przywódców”, “śledczych” i “sympatyków”, mając na myśli pracowników Bellingcata i różne konta w mediach społecznościowych wspierające działalność wydawnictwa. Kilka osób z tej listy potwierdziło nam, że mniej więcej w tym samym czasie padły ofiarą kampanii phishingowych.
Niektóre prowokacje odniosły skromny sukces. Na przykład za pośrednictwem konta rzekomo należącego do ukraińskiej organizacji nacjonalistycznej Prawy Sektor opublikowano zhakowane dane polskich urzędników.
Podczas gdy konta @pravysektor i @pravsector zostały szybko zidentyfikowane jako fałszywe i usunięte przez administrację Twittera, konta @anonpl i @anon_pl20 pozostawały aktywne przez wiele lat, a zespół Stigala wielokrotnie z nich korzystał. Niektóre z przecieków opublikowanych za pośrednictwem tych kont były wcześniej przypisywane innym jednostkom hakerskim GRU, takim jak FancyBear, co daje podstawy do podejrzeń, że Jednostka 29155 współpracowała z FancyBear (Jednostka 26165).
Archiwalna strona konta @anpoland pokazuje niektóre przecieki opublikowane we wrześniu 2016 r. Obejmują one “pliki policji w Detroit” (zawierające hashtagi #StopFBI #Revolution), dokumenty strategicznego dowództwa lotniczego, reprezentacji paraolimpijskiej USA oraz Światowej Agencji Antydopingowej (WADA). FBI oskarżyło o włamanie do WADA w 2016 r. siedmiu pracowników GRU z jednostki wojskowej 26165.
Być może najbardziej udaną operacją hakerów z 29155 było włamanie do QNB, największego banku Kataru, w maju 2016 r. Włamanie pozwoliło na pobranie 1,5 GB danych klientów, zawierających dane bankowe, numery telefonów, dane kart płatniczych i daty urodzenia. Wyciek został zorganizowany w taki sposób, by zwrócić uwagę na operacje finansowe rządzącej rodziny Kataru i operacje wywiadowcze tego kraju. Odpowiedzialność za włamanie wzięła na siebie w mediach społecznościowych turecka faszystowska grupa @bozkurthackers. W rzeczywistości kontem tym zarządzał zespół Tima Stigala, o czym świadczą posiadane przez nas zrzuty ekranu z raportów dotyczących tej operacji oraz dzienniki włamania znalezione na serwerze GRU. Operacja ta była szczególnie udana, ponieważ nikt nie powiązał jej z Rosją.
Zwerbowana dziennikarka i strzał w nogę
Stigalowi udało się również zaangażować do rozpowszechniania informacji bułgarską dziennikarkę Dilianę Gajtandżiewą. Aby uwiarygodnić wprowadzenie informacji, w 2017 r. Stigal stworzył konto na Twitterze “Anonymous Bułgaria”, za pośrednictwem którego ujawnił zhakowaną korespondencję ambasady Azerbejdżanu. Kilka dni później Diliana opublikowała na podstawie tej korespondencji “śledztwo” w bułgarskiej gazecie codziennej “Trud” (warto zauważyć, że jest to jedyny artykuł w języku angielskim opublikowany przez “Trud”, co pozwala przypuszczać, że celem artykułu było dotarcie do międzynarodowej publiczności, występując w imieniu szanowanego medium).
Celem GRU było nie tylko rozpowszechnianie informacji, ale także organizacja akcji ulicznych przed ambasadą Bułgarii w celu wywarcia presji politycznej (czego jednak nie udało się zrealizować) oraz kontrola eksportu wojskowego z Bułgarii. Przypomnijmy, że wcześniej, w tym samym celu, koledzy Stigala z Jednostki 29155 otruli nowiczokiem bułgarskiego eksportera broni Emiliana Gebrewa.
Najprawdopodobniej Diliana współpracowała z GRU już od 2016 r., w każdym razie już wtedy podczas podróży służbowej do Syrii dziennikarka “odkryła” bułgarską broń u syryjskich rebeliantów, co zostało następnie aktywnie wykorzystane przez Rosję w kampanii nacisku na Bułgarię.
Po opublikowaniu artykułu o Azerbejdżanie w “Trudzie” Diliana została zwolniona z pracy, jak podano, z powodu konsekwencji prawnych opublikowania korespondencji dyplomatycznej. Ale jej praca dla Jednostki 29155 dopiero się zaczynała. W 2018 r. wyjechała do Gruzji, by zrobić reportaż o “amerykańskich laboratoriach biologicznych”, rzekomo działających na terenie ambasady USA w Tbilisi. Dosłownie kilka dni przed nią w Tbilisi przebywał Stigal. Jej reportaż, opublikowany w powiązanej z syryjskim rządem telewizji satelitarnej, był pierwszą z serii publikacji na temat “amerykańskich laboratoriów biologicznych”, które stały się jednym z głównych tematów rosyjskiej propagandy państwowej. W Jednostce 29155 uznają to za jedno ze swoich największych osiągnięć w dziedzinie rozpowszechniania dezinformacji.
W 2019 r. Diliana zarejestrowała stronę internetową ArmsWatch.com, by regularnie publikować zbiory danych zhakowane przez Jednostkę 29155. Często celem tych publikacji było zdyskredytowanie dziennikarskich śledztw dotyczących działalności tej jednostki, w tym śledztw dotyczących otrucia Skripalów i Emiliana Gebrewa. “Przecieki” Diliany miały ułatwić pracę GRU, zapewniając wsparcie informacyjne dla operacji, ale w rzeczywistości czasami osiągały odwrotny skutek.
W 2019 r. Jednostka 29155 niechcący skłóciła Kreml z głównym sojusznikiem – Serbią.
15 września 2019 r. ArmsWatch opublikowało trzyczęściową serię pod tytułem “Akta Serbii”, zawierającą informacje o sprzedaży broni przez serbską firmę Krusik jemeńskim bojownikom za pośrednictwem amerykańskiego pośrednika. Według interpretacji Diliany broń była oznaczona jako przeznaczona do eksportu do Afganistanu, ale w rzeczywistości trafiała do bojowników Państwa Islamskiego w Jemenie. Tydzień później ArmsWatch, ponownie powołując się na anonimowe przecieki, oskarżyło serbskiego producenta broni o dostawy do Ukrainy.
Jak ustaliliśmy, przecieki te zostały przekazane serbskiemu informatorowi GRU Aleksandrowi Obradoviciowi za pośrednictwem jego adwokata. Publikacja została odebrana przez władze serbskie jako cios w plecy od sojusznika, a reakcja Belgradu nie kazała na siebie długo czekać. 17 listopada 2019 r. anonimowy użytkownik opublikował na YouTube film z opisem: “Rosyjscy szpiedzy deprawują Serbię. To film, na którym oficer Głównego Zarządu Wywiadu (czyli GRU) Rosji pułkownik Gieorgij Wiktorowicz Kleban płaci swojemu serbskiemu agentowi, wysokiemu rangą serbskiemu urzędnikowi. Kleban pracuje w rosyjskiej ambasadzie w Belgradzie. Oto co robią z nami Rosjanie, nasi »przyjaciele«”.
Ponieważ film z trudem zbierał wyświetlenia na YouTube w dniu publikacji, anonimowy użytkownik wysłał Christo Groziewowi, jednemu z autorów tego artykułu, email z linkiem do filmu. Groziewowi udało się potwierdzić tożsamość i przynależność pułkownika Klebana do GRU.
Tweet Grozewa na ten temat był szeroko cytowany w serbskich mediach, a trzy dni później serbska służba bezpieczeństwa potwierdziła to odkrycie i wezwała rosyjskiego ambasadora w celu złożenia oficjalnego protestu.
Skandal udało się wyciszyć dopiero po osobistym spotkaniu prezydentów Serbii i Rosji.
Prowokacje na Ukrainie: Azow przeciwko Zełenskiemu
Jednym z napoleońskich pomysłów Stigala było nastawienie ukraińskich nacjonalistów przeciwko prezydentowi Wołodymyrowi Zełenskiemu, tym bardziej że między prezydentem a batalionem Azow rzeczywiście istniały tarcia. Stigal zwerbował dziesiątki drobnych agentów, którzy mieli podawać się za członków batalionu Azow i organizować prowokacje. Wśród plików na serwerze hakerów można znaleźć folder “Graffiti w miastach”, który zawiera fotografie z tysiącami obraźliwych napisów pod adresem Zełenskiego, naniesionych przez prowokatorów na ściany ukraińskich miast (za każde graffiti otrzymywali od 1 do 5 dol.). Jednostka 29155 płaciła prowokatorów także kryptowalutą. Namierzyliśmy główne konta wykorzystywane do wynagradzania prowokatorów-grafficiarzy, przepłynęło przez nie kilkaset tysięcy dolarów.
Przykłady graffiti z obelgami pod adresem Zełenskiego opłaconymi przez GRU
Na serwerze znajduje się również folder “Praca z nazistami”, zawierający tylko jeden zrzut ekranu z czatu rzekomo z wysokim rangą członkiem Azowa w Czernihowie. W czacie rozmówcy koordynują drukowanie koszulek z tymi samymi obelgami pod adresem prezydenta Zełenskiego. The Insider nie ujawnia nazwiska rozmówcy, który obecnie służy w Siłach Zbrojnych Ukrainy, ponieważ nie wiedział on prawdopodobnie, że współpracuje z rosyjskim wywiadem — Stigal komunikował się z nim w imieniu proukraińskiego czeczeńskiego separatysty Ahmeda Zakajewa.
Do tej operacji włączono również Dilianę. W 2022 r. opublikowała ona (a następnie usunęła) materiał, w którym sugerowała, że jednostka Azow otrzymuje pieniądze od Rosjan.
Folder zatytułowany “Cele w rządzie” zawiera raporty z inwigilacji i działań dywersyjnych skoncentrowanych na trzech członkach administracji Zełenskiego odpowiedzialnych za integrację europejską: Andrieju Bojko, Tarasie Żurakowskim i Igorze Żowkwie. W Jednostce 29155 najwyraźniej pojawiły się problemy z identyfikacją danych osobowych i adresów domowych Bojki, bo w Kijowie mieszkało ponad 60 osób o tym samym nazwisku. Jednak grupie udało się znaleźć Żowkwę, który pełni funkcję zastępcy szefa biura prezydenta Zełenskiego. Znalazł się on w dokumencie zatytułowanym “Wydatki na przetwarzanie Żowkwy”. W dokumencie podano łączną kwotę operacji w wysokości 7 tys. dol. plus premię za znalezienie adresu urzędnika. W folderze znajduje się kilkadziesiąt zdjęć Żowkwy i jego domu, szczegółowe informacje o nim i członkach jego rodziny, a także zapisy połączeń telefonicznych z jego numeru, w tym geolokalizacja jego użycia w okresie sześciu miesięcy, kończącym się 13 września 2021 r.
Wczesnym rankiem 22 października 2021 r. do domu Igora Żowkwy w Kijowie wrzucono butelkę z mieszanką zapalającą. Ukraińcy aresztowali 20-letniego Ukraińca, który powiedział władzom, że za podpalenie obiecano mu 7 tys. dol. Powiedział on również, że otrzymał zadanie od anonimowej osoby za pośrednictwem szyfrowanego komunikatora.
Zrzut z komunikatora, na którym oficer GRU rozmawia z młodym człowiekiem o premiach za zrobienie zdjęć domu ukraińskiego urzędnika oraz dostarczone mu zdjęcia
Wzmocnienie zespołu: weterani i “orlęta”
Burzliwa działalność Stigala i jej niekontrolowane konsekwencje najwyraźniej niepokoiły Avwierianowa, który przydzielił mu dwóch weteranów JEdnostki 29155, posiadających jednak jedynie podstawowe umiejętności w dziedzinie IT: Jurija Denisowa i Romana Puntusa. Obaj z kolei podlegali zastępcy szefa Jednostki 29155 Iwanowi Kasjanence (Kasjanenko i Puntus pojawili się już w naszych śledztwach związanych z syndromem hawańskim i zamachami terrorystycznymi w Afganistanie).
Nowy zespół uznał, że zwiększeniu konkurencyjności Jednostki 29155 w GRU pomogłoby rozszerzenie własnego zespołu hakerów po to, by nie być zależnym ani od FSB, ani od kolegów z GRU z Jednostki 26165, znanych jako APT28 lub Fancy Bear. Sądząc po rachunkach za rozmowy telefoniczne Stigala, Puntusa i Denisowa, w drugiej połowie 2019 r. zaczęli oni jeździć do Woroneża i kontaktować się z młodymi programistami. Jedna z podróży Stigala zbiegła się w czasie z pierwszym hackathonem, w którym wzięło udział 100 młodych programistów z ośmiu uniwersytetów w Woroneżu. Dwudniowy konkurs obejmował szereg zadań, które miały wyłonić najbardziej obiecujących hakerów dla potrzeb GRU. Konkurs obejmował m.in. kryptografię, wykrywanie luk w zabezpieczeniach stron internetowych oraz ekspertyzy cyfrowe.
W rezultacie GRU zwerbowało zespół młodych programistów z Wojskowego Centrum Naukowo-Szkoleniowego Sił Powietrznych. “Orlęta”, jak pieszczotliwie nazywają studentów-pilotów dziennikarze, w liczbie co najmniej siedmiu osób stały się pełnoprawnymi członkami zespołu 29155.
Zdjęcie z hackathonu w Woroneżu. Po prawej Nikołaj Korczagin, jeden z “orląt” zwebowanych przez GRU
Zwerbowani w Woroneżu hakerzy GRU Dmitrij Woronow i Nikołaj Korczagin
Witalij Szewczenko, kolejny z “orląt” zwerbowanych przez GRU w Woroneżu
Pierwszym zwerbowanym członkiem tej grupy był Witalij Szewczenko (używający również pseudonimu Elizar Krytyjski). Dane dotyczące dochodów wskazują, że już w 2020 r. był zatrudniony w Ministerstwie Obrony Narodowej, a znajomi zapisywali go w swoich telefonach jako “haker Elizar”.
Szewczenko odegrał decydującą rolę w 2020 roku we włamaniu do Ministerstwa Obrony Estonii i innych instytucji państwowych tego kraju, w wyniku czego 29155 uzyskał dostęp do “znacznej ilości informacji wewnętrznych”, co stwierdza akt oskarżenia estońskiej prokuratury. Szewczenko opuścił jednak zespół już pod koniec 2021 r. z powodu konfliktu ze swoim szefem Romanem Puntusem.
To, jak bardzo dobrym pomysłem było od razu angażowanie studentów w ściśle tajne wojskowe operacje cybernetyczne, jest kwestią sporną, ale jak pokazały późniejsze wydarzenia, głównym problemem okazali się nie tyle oni, ile osławieni “weterani”.
Do 2021 r. między Stigalem a “weteranami” Denisowem, Puntusem i Kasjanenką narastał konflikt. Trudno powiedzieć, na czym dokładnie polegały różnice zdań, wiadomo tylko, że Stigal zarzucał kolegom nadmierne rozkradanie pieniędzy, które w przededniu pełnej inwazji były przeznaczane na szczególnie duże wydatki. GRU, a konkretnie 29155, miały odegrać decydującą rolę w pierwszych dniach inwazji (wśród ich zadań było m.in. zajęcie kluczowych budynków rządowych w Kijowie i zabójstwo Wołodymyra Zełenskiego). Pieniądze przeznaczono m.in. na rekrutację agentów w Ukrainie, ale kiedy przyszło do działania, okazało się, że wykonać powierzonych zadań nie ma kto. Trudno powiedzieć, czy konflikt o rozkradzione pieniądze był główną przyczyną rozłamu, ale Stigal został oficjalnie zwolniony “ze względów zdrowotnych” (trafił do szpitala z powodu koronawirusa, co stało się dogodnym pretekstem).
W ten sposób od 2021 r/ główną rolę w hakerskim oddziale Jednostki 29155 zaczęli odgrywać Denisow i Puntus.
“W MON sam debile”, czyli publiczne wyznania hakera Denisowa
Jurij Denisow wcześniej aktywnie uczestniczył w działalności Jednostki 29155, o czym świadczą jego liczne podróże do Europy z innymi członkami oddziału. Podczas podróży Denisow używał różnych pseudonimów, w tym “Jurij Dudin” (loty do Niemiec, Belgii i Holandii w 2016 r.) oraz “Jurij Łukin” (loty do Turcji i Azerbejdżanu w 2013 i 2014 r.). Wykorzystywał również paszporty z dwoma innymi fałszywymi nazwiskami – “Karpow” i “Siergiejew” – do podróży po Rosji.
Jurij Denisow
Denisow był zapisany w telefonach znajomych m.in. jako “Jurij C++”, “Jurij C#” i “Jurij Bazy danych”, więc w przeciwieństwie do swoich kolegów z 29155 miał przynajmniej podstawową wiedzę na temat IT. Jego konto w serwisie Telegram było również zapisane do wielu grup związanych z hakowaniem. Swoje umiejętności wykorzystywał nie tylko w pracy — działał również w grupie czatową DeepNudes poświęconej tworzeniu deepfake’ów pornograficznych.
Denisow jest wielkim miłośnikiem komunikacji na czatach Telegramu. 90 proc. jego wiadomości to przekleństwa na temat Ukraińców i mieszkańców Kaukazu lub treści pornograficzne, ale czasami pojawiają się tam też wyznania dotyczące pracy: “Jestem najemnikiem, kontraktowcem. Oficerem Ministerstwa Obrony. I nie czerpałem i nie czerpię przyjemności z mojej pracy, pomimo wynagrodzenia. Wszystko zgodnie z piramidą Masłowa. Gdyby nie nowotwór, walczyłbym jako najemnik”. O Ministerstwie Obrony wypowiadał się niepochlebnie: »debile«, gdzie »są same p…y [chodzi o wulgarne określenie gejów]«.
Na czacie Denisow ujawnia też inne informacje o sobie, na przykład to, że jest pułkownikiem z 27-letnim stażem, oraz że jego żona jest programistką. Ale publiczne wyznania na Telegramie to tylko najniewinniejszy przykład tego, jak beztrosko Denisow podchodził do bezpieczeństwa cyfrowego. Udało się nam np. ujawnić wszystkie jego pseudonimy używane w paszportach, ponieważ używał tego samego numeru telefonu do wszystkich rezerwacji lotów. Tego samego numeru używał również do rezerwacji biletów dla swoich podwładnych, co pozwoliło nam poznać nazwiska niektórych wcześniej nieznanych pracowników Jednostki 29155.
Roman Puntus: bohater-kochanek i niezabezpieczony serwer
Po odejściu Stigala z grupy główną osobą w zespole został Roman Puntus, doświadczony uczestnik operacji Jednostki 29155, podróżujący pod przykrywką Romana Panowa. Puntus wykorzystywał tożsamość “Panowa” nie tylko do podróży: telefon zarejestrowany na to nazwisko służył mu do kontaktów z licznymi prostytutkami (dla zachowania konspiracji przedstawiał się im jako Siergiej).
Jedyne publicznie dostępne zdjęcie Romana Puntusa
Puntus przejął rolę lidera w najbardziej odpowiedzialnym momencie, w 2021 r., kiedy Kreml przygotowywał się do pełnej inwazji, a ważną częścią tej inwazji miały być cyberataki.
Sam Puntus nie znał się jednak zbytnio na IT i polegał bardziej na swoim zespole. Rolę łącznika z FSB zamiast Stigala zaczął pełnić haker Jewgienij Baszew, który od dawna pracował dla kontrwywiadu FSB i który był właścicielem firmy “Impuls” w Rostowie. Prywatna firma pełniła funkcję pośrednika, umożliwiającego prowadzenie wszystkich operacji biznesowych związanych z działalnością hakerską poprzez firmy formalnie niezwiązane z rosyjskim państwem. W Rostowie, najwyraźniej pod kontrolą Baszewa, znajdował się serwer o nazwie Ajgajon (Ajgajon to sturęki olbrzym z mitologii greckiej, który bronił Zeusa, ale ostatecznie go zdradził).
Dla celów operacyjnych Puntus otworzył w Rostowie własną firmę, którą bez zbędnej konspiracji nazwał Ajgajon-Impuls. Firmę zarejestrowano na księgową Darię Kuliszową. Osoba ta nie była wprawdzie związana z GRU, ale była za to kochanką Puntusa. W tajemnicy przed żoną i dziećmi, używając służbowej przykrywki, latał z nią do Soczi i jeździł pociągiem do Rostowa. Ajgajon-Impuls ściśle współpracował z firmą Impuls.
Dziewięć miesięcy po wspólnym wypoczynku z Puntusem w Soczi, 15 listopada 2023 r., Kuliszowa urodziła syna, któremu nadała imię Matwiej Romanowicz (w Rosji drugie imię zawsze pochodzi od imienia ojca). Puntus przyjechał do Rostowa, by powitać syna na świecie i spędził z Kuliszową dwa tygodnie po porodzenie. We wniosku o zasiłek Kuliszowa napisze, że nie pozostaje w związku małżeńskim z ojcem dziecka.
Sesja zdjęciowa Darii Kuliszowej z początku lutego 2023 r. Dziewięć miesięcy później urodzi się jej syn
Skupiając całą swoją energię na nowej tajnej rodzinie, Puntus stracił z oczu swój tajny serwer, do którego, jak się okazało, dostęp nie był zabezpieczony: miał otwarte porty, które można było złamać w bardzo prosty sposób. W lutym 2025 r. odkrył to bloger specjalizujący się w cyberbezpieczeństwie i skontaktował się z nami. Na serwerze znaleziono logi, z których można było wyodrębnić listę wszystkich celów hakerów (około stu domen), listę ponad 600 numerów telefonów, które wybrali, i wiele innych informacji. Analiza danych z serwera pozwoliła ustalić, kiedy i na kogo były skierowane ataki hakerów.
Ukraina, infrastruktura europejska, firmy medyczne: kogo zaatakowali hakerzy
Sądząc po logach Ajgajona aktywna działalność hakerów rozpoczęła się już w listopadzie 2021 r. W listopadzie i grudniu pierwszymi celami stały się liczne ukraińskie strony rządowe, w tym związane z infrastrukturą energetyczną.
Najwyraźniej miało to związek z przygotowaniami do pełnej inwazji, w której Jednostka 29155 miała wziąć aktywny udział. Wcześniej, w latach 2015–2017, kolegom z jednostki wojskowej 74455 wielokrotnie udawało się wyłączyć ukraińskie elektrownie, ale podopiecznym Puntusa to się nie udało: 13–14 stycznia 2022 r. udało im się jedynie włamać na strony internetowe wielu z tych firm i umieścić na stronie głównej antyukraińskie przesłanie twierdząc przy tym, że udało im się zniszczyć wszystkie dane, co nie było prawdą.
Niektóre cele zespołu Puntusa trudno wyjaśnić. Czym podpadła GRU np. strona internetowa Uniwersytetu Kolorado — colostate.edu? Albo polska pracownia projektowania stron internetowych Rebornlab.com, specjalizująca się w grach komputerowych? Albo firma produkująca baterie słoneczne?
Szczególnie dużo wśród celów jest firm związanych w taki czy inny sposób z medycyną, w tym różnych producentów sprzętu medycznego, klinika w Azerbejdżanie i akademia medyczna w Taszkencie.
Na liście jest pięć stron z Polski:
- pkp.pl (próba ataku 1 i 9 listopada 2022 r.)
- rzeszowairport.pl (próba ataku 14 listopada 2022 r.)
- koleo.pl (próba ataku 14 listopada 2022 r.)
- venti.pl (próba ataku 14 listopada 2022 r.)
- rebornlab.com (próba ataku 14 listopada 2022 r.)
Ponadto hakerzy szukali luk w zabezpieczeniach stron internetowych urzędów państwowych i obiektów infrastruktury Uzbekistanu, Gruzji, Czech, Słowacji, Estonii, Polski, Mołdawii i Armenii. Ciekawe, że jedna trzecia ze stu znanych celów hakerów 29155 to czeskie strony internetowe. Większość prób dotyczy końca 2021 i 2022 r., po czym aktywność albo znacznie się zmniejsza, albo 29155 po prostu rzadziej korzysta z tego serwera. Pełną listę celów można znaleźć tutaj.
Wśród numerów telefonów, które próbowali zhakować Rosjanie, znalazły się nie tylko obiekty ich zainteresowań zawodowych, ale także wszelkiego rodzaju znajomi i krewni z Rosji, w tym np. kochanka Awierianowa. Na podstawie numerów, którymi się interesowali, widać, że hakerzy z zapałem czytali Insidera, kiedy pisaliśmy o ich jednostce: np. włamali się na telefon swojego kolegi w dniu, w którym w opublikowaliśmy śledztwo, w którym wspomniano o nim (korzystając z okazji, pozdrawiamy wszystkich pracowników GRU, którzy teraz czytają ten tekst).
Nie mamy dla was innych zdjęć
W samym oddziale hakerskim Jednostki 29155 bardzo sceptycznie ocenia się skuteczność jego działań. Jak powiedział nam jeden z młodych członków grupy (nazwijmy go Aleksander Pieczenik), głównym problemem jest niekompetencja kierownictwa, które w większości nigdy nie miało nic wspólnego z cyberoperacjami i nie umie normalnie obsługiwać nawet własnego komputera, a także w niskiej motywacji, ponieważ kierownictwo wyraźnie bardziej myśli o własnym wzbogaceniu się niż o pracy.
W rezultacie, twierdzi Aleksander, informacje wyciekają i w jakiś sposób przeciwnik dowiaduje się o operacjach oddziału czasami nawet wcześniej, niż są one zgłaszane rosyjskim przełożonym. Według Aleksandra wszyscy w oddziale są przekonani, że mają wtyczkę, ale on sam uważa, że przyczyna może leżeć zupełnie gdzie indziej, a mianowicie w tym, że przy takim poziomie znajomości technologii informatycznych, kiedy informacje trafiają na niezaszyfrowane serwery, będą one wyciekać nawet bez udziału zdrajców. Według Aleksandra generał Awierianow rozumie poziom kompetencji swoich pracowników i okresowo przetasowuje kadry – na przykład Denisowa został ostatecznie wysłany na Białoruś, ale to nie pomaga.
Mimo że w ostatnich latach jednostka miała więcej porażek niż sukcesów, do ostatniej chwili kontynuowała bardzo burzliwą działalność. Według naszych źródeł nawet ta publikacja raczej nie doprowadzi do żadnych zmian: Awierianow (pod którego protekcją jednostka nadal istnieje, nawet po tym, jak on sam awansował) ma silną pozycję i nikt nie zamierza go zmieniać. Ponadto Awierianow nie ma czasu na hakerów, jest zbyt zaangażowany w swoje afrykańskie projekty i organizację operacji sabotażowych.
